composer install 严格比对 composer.lock 中硬编码的 dist.sha256 与下载 zip 包的本地 sha256，不匹配即中断安装并报 hash verification failed；该校验在解包前强制执行，非可选行为，且不受缓存或镜像切换影响。
composer install 为什么只认 composer.lock 里的 dist.sha256
它不“识别”哈希，而是严格比对——composer install 运行时，会逐个读取 composer.lock 中每个包的 dist.sha256 字段，再对刚下载下来的 zip 包（或已缓存的 dist 文件）做一次本地 SHA256 计算，两者必须完全一致才允许解压安装。不匹配就直接中断，报 hash verification failed。
这个校验发生在安装流程早期，在解包前；不是事后抽查，也不是可选行为。哪怕你本地 vendor 目录里已有同名包，只要 lock 文件里哈希和当前文件不一致，Composer 就会拒绝复用，强制重下。
-
composer.lock是快照，不是建议：里面写的"dist": {"sha256": "a1b2c3..."}是当时生成锁文件那一刻的真实哈希，不会随镜像源更新而自动刷新 - 镜像源替换 dist 包但没同步哈希值？
composer install仍会拿 lock 里的旧哈希去比对新包，必然失败 - 你改过某包源码、手动编辑过 vendor/ 下文件？下次
composer install会发现哈希不匹配，立刻报错——这是保护机制，不是 bug
哈希不匹配时，为什么清缓存或换镜像没用
因为问题不在缓存路径 ~/.composer/cache 或镜像 URL，而在 composer.lock 文件本身。它的 dist.sha256 是硬编码进去的，跟缓存目录、网络请求路径完全无关。
你执行 composer clear-cache，只是删了本地下载缓存；换镜像源，只是改变了下载地址；但 composer install 依然拿着 lock 里那个旧哈希，去比对从新镜像拉下来的新 zip 包——只要内容不同，哈希就不同，校验铁定失败。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- Windows 用户常见错误：
rd /s /q vendor之后忘了del composer.lock，结果重装还是失败 - Linux/macOS 必须配对执行：
rm -rf vendor composer.lock，缺一不可 - 只删
vendor/后跑composer install，等于让 Composer 拿着过期哈希去验证新包，100% 失败
如何确认当前生效的镜像是否真在用
别信配置命令的输出，要看实际请求路径和响应头。很多人设了阿里云镜像，但 composer install 仍连 packagist.org，根本原因是配置字段写错或被项目级配置覆盖。
- 查全局镜像是否生效：
composer config -g repos.packagist.org，正确输出应为{"type":"composer","url":"https://mirrors.aliyun.com/composer/"}（注意末尾斜杠） - 查项目级是否覆盖：
composer config repositories，若出现"type": "vcs"或自定义 URL，全局镜像直接失效 - 手动验证通断：
curl -I https://mirrors.aliyun.com/composer/packages.json，必须返回HTTP/2 200；返回 HTML、301 或卡住，说明镜像服务异常或 TLS 握手失败
verify-checksums 命令为什么经常“没反应”
composer verify-checksums --strict 不是开箱即用的功能，它默认隐藏，且依赖环境变量和镜像一致性。很多情况下它不报错，不代表没问题，而是根本没校验到。
- 必须加环境变量：
COMPOSER_EXPERIMENTAL=1 composer verify-checksums --strict，否则命令不存在 - 没
--strict参数？即使发现不匹配也只警告，返回码仍是 0，CI 流水线会误判成功 - 中文生态常见包（如
overtrue/wechat）在 lock 文件里可能没有dist.sha256字段——因为作者发布时只提供了--prefer-source路径，verify-checksums会跳过它们，不提示、不报错、也不校验
真正要验证某个包是否被篡改，得手动进 vendor/xxx 目录，用 find + shasum -a 256 算全量哈希，再和 composer show --locked xxx --format=json 输出的 dist.sha256 对比——这才是唯一可靠方式。
